VPN Verbindung versucht direkten Login

[Vinc211 1]

Guten Tag,

 

ich muss mit einem Windows 10 Client eine VPN Verbindung vor dem Windows Login einbauen. Dazu habe ich auf der Firewall zum Test mal PPTP aktiviert und einen lokalen User auf der Firewall eingerichtet.

Über die Systemsteuerung im Windows Client hab ich eine VPN Verbindung angelegt. PPTP eingestellt und die Verbindung so eingestellt das ich diese auf dem Login Screen aktivieren kann.

Wenn ich als User angemeldet bin funktioniert das PPTP sehr gut. Wenn ich dies aber vor dem Login machen möchte Verbindet sich die VPN Verbindung (im PPTP Log der Firewall nachvollziehbar) aber es wird auch direkt ein Login in Windows mit den Anmeldedaten versucht, das natürlich fehlschlägt und die PPTP Verbindung wird getrennt.

Wo ist der Fehler in den Einstellungen? Nachdem PPTP aktiviert ist, muss ich zurück zum Windows Login Screen für die Domäne kommen.

Wenns mit PPTP nicht geht, wäre das mit L2TP machbar?

[NorbertFe 2.061]

Pptp sollte man aus Sicherheitsgründen nicht mehr verwenden. Ja l2tp sollte sich ähnlich verhalten, ist aber sicherer.

[Vinc211 1]

Gerade eben schrieb NorbertFe:

Pptp sollte man aus Sicherheitsgründen nicht mehr verwenden. Ja l2tp sollte sich ähnlich verhalten, ist aber sicherer.

 

Ok ich habs in der zwischenzeit mit L2TP versucht, aber habe das selbe Problem. Er versucht immer direkt den Login, und merkt dann das dies nicht geht, und kappt dann auch das L2TP

[NorbertFe 2.061]

Ist sicher nur eine Einstellungsfrage. 

[Vinc211 1]

Gerade eben schrieb NorbertFe:

Ist sicher nur eine Einstellungsfrage. 

Klar, ich komm nur nicht dahinter welche Einstellung es ist. Meine Versuche haben nichts ergeben und ich finde den Punkt nicht.

[Nobbyaushb 1.475]

Ich terminiere VPN grundsätzlich am Router /  Firewall, alles andere ist mir zu gefährlich

[NorbertFe 2.061]

Würde am Problem aber nichts ändern. ;)

[Vinc211 1]

vor 12 Stunden schrieb Nobbyaushb:

Ich terminiere VPN grundsätzlich am Router /  Firewall, alles andere ist mir zu gefährlich

 

Löst das Problem nicht. Gibt es einen OpenVPN CLient der auf der Logon Seite mit auftaucht, außer dem von Windows? Damals Bei Ccheckpoint VPN ging das, das weiß ich.

[testperson 1.707]

Hi,

 

warum muss zwingend vor dem Login der Tunnel da sein? Ggfs. ist Always On VPN ein Ansatz: https://docs.microsoft.com/en-us/windows-server/remote/remote-access/vpn/always-on-vpn/

Der Lancom VPN Client kann / konnte das z.B.: https://www2.lancom.de/kb.nsf/1275/F7276160EE3D2BF4C12575C4002E7EFA?OpenDocument

 

Gruß

Jan

[Vinc211 1]

vor 11 Minuten schrieb testperson:

Hi,

 

warum muss zwingend vor dem Login der Tunnel da sein? Ggfs. ist Always On VPN ein Ansatz: https://docs.microsoft.com/en-us/windows-server/remote/remote-access/vpn/always-on-vpn/

Der Lancom VPN Client kann / konnte das z.B.: https://www2.lancom.de/kb.nsf/1275/F7276160EE3D2BF4C12575C4002E7EFA?OpenDocument

 

Gruß

Jan

 

Weil die Gruppenrichtlinien und die Verbindung zur Domäne beim Windows Logon wichtig sind. Ich hoffe das dadurch ein paar Probleme gelöst werden können.

[NorbertFe 2.061]

Die Computerrichtlinien sind zu dem Zeitpunkt aber schon vorbei. ;) Da hilft nur Direct Access.

[testperson 1.707]

vor 21 Minuten schrieb Vinc211:

Ich hoffe das dadurch ein paar Probleme gelöst werden können.

Klingt ein wenig nach (blindem) Aktionismus. Was gibt es denn für Probleme?

Ich kann mich dank Cached Credentials z.B. auch offline ohne Domäne mit meinem Domänen Benutzer anmelden.

 

[Vinc211 1]

Gerade eben schrieb testperson:

Klingt ein wenig nach (blindem) Aktionismus. Was gibt es denn für Probleme?

Ich kann mich dank Cached Credentials z.B. auch offline ohne Domäne mit meinem Domänen Benutzer anmelden.

 

 

Der Client Verbindet sich nicht mit der Domäne und ich kann kein GP Update machen. Selbst wenn der OpenVPN läuft ist gpupdate einfach nicht machbar und wirft Fehler.

Zudem werden Logon Skripte etc natürlich nicht ausgeführt und anderes wenn beim Logon kein DC verfügbar ist.

[mwiederkehr 382]

Du kannst OpenVPN als Dienst installieren. Dann wird der Tunnel aufgebaut, wenn der Dienst gestartet wird. Allerdings gibt es noch keine Integration in den Anmeldebildschirm dafür. Du müsstest die Zugangsdaten also in einer Datei hinterlegen (lesbar für Dienstbenutzer reicht zwar, aber unter Umständen will man das trotzdem nicht).

 

Ansonsten bleibt wohl nur eine proprietäre Lösung: WatchGuard kann "connect before login" (aber nur mit IPSec, nicht mit SSL), Cisco soll es auch können.